Wzmacniasz zabezpieczenia węzła zarządzania Windows Server 2022. WinRM (HTTP/HTTPS) musi akceptować połączenia tylko z dwóch podsieci zarządzania (10.10.20.0/24 i 10.10.30.0/24) i tylko wtedy, gdy ruch jest uwierzytelniony za pomocą IPsec z użyciem Kerberosa. Dostęp do WinRM nie jest dozwolony w profilu Public. Które dwie konfiguracje należy utworzyć w Zaporze systemu Windows z zaawansowanymi zabezpieczeniami?

Aby spełnić wymagania, należy utworzyć dwie konfiguracje. Po pierwsze, reguła zabezpieczeń połączenia typu "Serwer-do-Podsieci" jest niezbędna do wymuszenia uwierzytelniania IPsec przy użyciu Kerberosa dla ruchu przychodzącego i wychodzącego z określonych podsieci (10.10.20.0/24 i 10.10.30.0/24). To zapewnia wymagane uwierzytelnianie na poziomie sieci. Po drugie, reguły zapory przychodzącej dla portów WinRM (TCP 5985 dla HTTP i TCP 5986 dla HTTPS) muszą być utworzone, aby zezwolić na ruch tylko z tych dwóch podsieci zarządzania i tylko w profilach Domain i Private. Ograniczenie do tych profili zapobiega dostępowi w profilu Public, zgodnie z wymaganiami. Reguła wykluczenia uwierzytelniania jest nieprawidłowa, ponieważ wymagane jest uwierzytelnianie IPsec. Reguła zapory wychodzącej zezwalająca na ruch do dowolnego adresu jest zbyt szeroka i niezgodna z zasadą najmniejszych uprawnień. Reguła typu Tunnel z certyfikatami nie jest wymagana, ponieważ zadanie wyraźnie określa uwierzytelnianie Kerberos.